CVE-2026-13464

Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).

Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.

Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Kirki WordPress przed wersją 6.2.3 nieprawidłowo waliduje pliki w archiwach przesyłanych przez użytkowników z rolą Editor i nie usuwa wszystkich niepożądanych plików po rozpakowaniu, co pozwala takim użytkownikom na przesyłanie dowolnych plików do katalogu dostępnego z sieci, prowadząc do Stored XSS oraz RCE na niektórych konfiguracjach serwera.

Nieuwierzytelniony atak XSS w bibliotece Kirki w wersjach do 6.2.3. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.1.1 włącznie jest podatna na obejście autoryzacji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie custom-level na odczyt dowolnych metadanych użytkownika i wrażliwych pól, takich jak adres e-mail, role, data rejestracji i wartości user_meta, należących do dowolnego użytkownika, w tym administratorów.

Wtyczka Kirki dla WordPressa do wersji 6.1.1 włącznie jest podatna na Directory Traversal przez parametr 'data'. Uwierzytelnieni atakujący z dostępem edytora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, w tym wrażliwe informacje, omijając zabezpieczenie oparte na strpos() poprzez osadzenie sekwencji traversal w URL.

Wtyczka Kirki dla WordPressa przed wersją 6.2.1 nie autoryzuje poprawnie swoich tras REST do przesyłania formularzy z front-endu i przekazuje dane kontrolowane przez atakującego do wykonania shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie, co w domyślnej instalacji prowadzi do ujawnienia adresu e-mail administratora witryny i umożliwia wysyłkę poczty do dowolnego odbiorcy z domeny ofiary.